Een beveiligingsonderzoeker heeft een proof-of-concept-exploit gepubliceerd voor een kwetsbaarheid in Android die bekendstaat als “SMS of Death”. Het lek, geregistreerd als CVE-2026-58882, laat aanvallers op afstand en zonder enige actie van het slachtoffer de mobiele dienst verstoren of het toestel laten crashen door één specifiek geprepareerd sms-bericht te versturen. Het bericht kan ook lopende gesprekken onderbreken, inclusief noodoproepen. Omdat Android het bericht al verwerkt voordat het in de inbox terechtkomt, ziet een slachtoffer nergens een zichtbaar spoor van de oorzaak.
Onderzoeker Mark Blah publiceerde een technische analyse op de website smsofdeath.com en zette een proof-of-concept op GitHub, waarmee de kwaadaardige berichten vanaf een ander Android-toestel kunnen worden verstuurd. De oorzaak ligt in de functie WapPushOverSms.decodeWapPdu, die een headerlengte onjuist valideert: de waarde wordt omgezet naar een signed 32-bit integer zonder grenscontrole, waardoor een daaropvolgende geheugentoewijzing een NegativeArraySizeException veroorzaakt. Dat crasht het proces com.android.phone, dat de cellulaire functies van het toestel beheert.
Android 12 en 13 blijven kwetsbaar omdat ze de fix niet hebben ontvangen. Android 14 tot en met 17 kregen de patch wel, via de beveiligingsupdates van oktober 2026. Opvallend is dat Google de fix, intern aangeduid als “Fix remote DoS in decodeWapPdu”, niet apart heeft vermeld in het officiële oktoberbulletin: de patch onderschept de uitzondering voortaan en verwijdert kwaadaardige berichten uit de sms-database.
Het probleem kan zich herhalen. Een provider die het bericht opnieuw aflevert, of een bericht dat al op het toestel staat, kan de crash telkens opnieuw veroorzaken. In tests leidden twintig kwaadaardige berichten tot een bootloop: één Android 12-toestel herstartte ongeveer elke negentig seconden in de herstelmodus en moest uiteindelijk naar de fabrieksinstellingen worden teruggezet. Een bijdrager op GitHub, met de naam Sakis, vond een manier om de berichten via Android Debug Bridge (ADB) te verwijderen, maar dat vereist technische kennis en een aangesloten computer.
De enige structurele oplossing is het installeren van de laatste Android-beveiligingsupdate. Of en wanneer die beschikbaar is, hangt af van toestelfabrikant en provider, en soms is een herstart nodig om de installatie af te ronden. Voor bezitters van een Android 12- of 13-toestel dat nog geen update heeft gekregen, is dit een reden om bij de fabrikant te informeren naar de beveiligingsstatus, zeker omdat een toestel dat continu herstart ook geen noodoproepen meer kan afhandelen.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.